【導讀】在校學生近15000人，教職員工1200余人。萬平方米的現(xiàn)代化校園將建立于星湘先導區(qū)，學院將建立成理念一流，管理一流，專業(yè)一流，師資一流，質(zhì)量一流的省內(nèi)外有影響力的高職院校。本次新校區(qū)綜合網(wǎng)絡設計使用功能分區(qū)設計。如圖分為高速安全出口區(qū)、網(wǎng)絡運維管理。區(qū)、核心交換區(qū)、應用承載服務區(qū)、外設區(qū)、有線和無線交換接入?yún)^(qū)。要負載高速路由轉(zhuǎn)發(fā)，智能選路功能。本次設計使用雙核心，組建核心虛擬化，形成雙核心兩兩互備，負載均衡的強大功能。以增強整體網(wǎng)絡的容錯和故障隔離能力。對接入網(wǎng)絡的用戶進行認證并根據(jù)校方不同需求進行計費。同時配置一臺備份設備，用于保護重要數(shù)據(jù)。

　　

【正文】 ？ 安全風險難以控制的問題 出口安全問題更為復雜，總體來看可以分為三類。第一類是攻擊類安全問題。網(wǎng)絡攻擊可能影響網(wǎng)絡運行、造成資源浪費或者引發(fā)一系列安全問題。如 DDoS 攻擊會耗盡系統(tǒng)資源。目前 Web 安全越來越受關(guān)注，比如防范網(wǎng)頁被篡改、防范網(wǎng)站被掛馬。第 二類是日志審計問題。重大政治事件、安全事件頻發(fā)的大背景下，全國都在開展安全大檢查，公安部 82 號令所要求的日志審計如何滿足？如何避免公安網(wǎng)監(jiān)日志檢查帶來的麻煩？第三類是實名制問題。不光接入網(wǎng)絡要認證，訪問 Inter 也要做準出認證（可以簡單理解為網(wǎng)關(guān)認證），并在準出認證基礎(chǔ)上，針對不同用戶身份進行相應策略部署。 出口拓撲 ，如圖 10 所示 ，高速安全出口區(qū)如圖 11 所示。 圖 10 出口拓撲 方案 圖 11 高速安定 出口 區(qū) 湖南工業(yè)職業(yè)技術(shù)學院 網(wǎng)絡技術(shù)專業(yè)教學資源庫 20 1． 實現(xiàn)提速，即建立高性能、高穩(wěn)定的基礎(chǔ)平臺 配備高性能網(wǎng)絡出口引擎設備，保證高穩(wěn)定性。支持 硬件 BYPASS，在掉電、重啟、設備故障等突發(fā)情況下，出口始終能保持通暢。 1+1 冗余電源的配備。 通過設計銳捷 RGNPE 系列網(wǎng)絡出口引擎 ， 如 圖 12 所示 。 圖 12 高速安 全 出口 區(qū) RGNPE 系列網(wǎng)絡出口引擎是銳捷網(wǎng)絡針對國內(nèi)網(wǎng)絡出口比較復雜的特殊現(xiàn)狀而提供的專用網(wǎng)絡設備。目前局域網(wǎng)與外部網(wǎng)絡連接時普遍存在多條出口鏈路的情況，例如與多個運營商連接。 RGNPE 系列產(chǎn)品在幫助用戶選擇最快上網(wǎng)線路的前提下，還能夠保障每一條出口線路都能夠被充分地利用，不僅提升了用戶的上網(wǎng)體驗，而且能夠讓出口網(wǎng)絡的建設擁有較高 的投資收益比。 除了優(yōu)選路徑與高速轉(zhuǎn)發(fā)， RGNPE 系列產(chǎn)品還具有其他多項附加的增值功能，例如：流量控制優(yōu)化、日志審計、設備防攻擊、 VPN 功能等。這些功能能夠滿足用戶出口網(wǎng)絡中的常見需求，解決出口網(wǎng)絡普遍存在的上網(wǎng)慢、管理煩、安全低的問題，減輕網(wǎng)絡管理人員的負擔，保障用戶出口網(wǎng)絡健康、穩(wěn)定地運行。 技術(shù)性能： Outbound：智能選路：策略路由、應用路由、地址庫路由、 MLLB、正向 DNS 代理、鏈路健康檢測、鏈路過載保護。 Inbound： 智能 DNS。源 NAT、目的 NAT、靜態(tài) NAT、 NAPT、 NoNAT。支持多種 NAT ALG，包括 FTP、 、 DNS 等。 滿足公安部 82 號令要求 。提供對流日志、 NAT 日志、 URL 日志 。支持出口日志的遠程 web訪問和檢索 。提供設備日志、攻擊日志記錄。 路由轉(zhuǎn)發(fā)性能，包括網(wǎng)絡地址轉(zhuǎn)換（ NAT）、基于策略的路由選路（ PBR） NAT 性能考核指標主要為 NAT 并發(fā)連接數(shù)及 NAT 每秒新建連接數(shù)。 NAT 并發(fā)連接數(shù)指標要求 =用戶總數(shù) x 用戶并發(fā)在線率 x 每用戶會話數(shù) =2020x100=20 萬。 NAT 每秒新建連接數(shù)指標要求 =用戶總數(shù) x用戶并發(fā)在線率 x每用戶每秒新建連接數(shù) =2020x20=4 萬。 IT 硬件設備的 3\10 原則（日常負載維持到設備總性能的 30 左右，以保證有足夠資源處理突發(fā)狀況，以及減輕不間斷運行設備壓力）。而本實配制了出口設備 NPE50E NAT 會話數(shù)達 200 萬，每秒新建 NAT 會話數(shù)達 5 萬條，足以支撐 星湘 職業(yè)技術(shù)學院新校區(qū)路由轉(zhuǎn)發(fā)的性能要求。 智能路由選路 ，如圖 13 所示。 湖南工業(yè)職業(yè)技術(shù)學院 網(wǎng)絡技術(shù)專業(yè)教學資源庫 21 圖 13 智能路由選擇 園區(qū)網(wǎng)用戶在訪問屬于不同 ISP 提供的信息資源時，外網(wǎng)連接層需要智能的根據(jù)用戶訪問的信息資源，選擇不同的 ISP（不同的廣域網(wǎng)鏈路）來進行訪問。從而避免訪問路徑跨越了不同 ISP 網(wǎng)絡，確 保資源訪問效率最大化。 2． 實現(xiàn)業(yè)務的高效運行，提升服務質(zhì)量 通過有效識別校園各種應用，并加以控制帶寬，比如控制 P2P 等帶寬濫用，保證關(guān)鍵用戶、關(guān)鍵應用、關(guān)鍵時刻的帶寬需要。 通過部署 RGACE 設備 ,實現(xiàn)流量控制功能，如圖 14 所示。 圖 14 智能路由選擇 銳捷網(wǎng)絡 RGACE（ Application Control Engine）流量控制引擎是專門為大型網(wǎng)絡出口設計的流控設備，可識別超過 1000 種的網(wǎng)絡應用協(xié)議，能對單 IP 進行應用和流量控制。RGACE 系列有三個型號： RGACE2020D、 RGACE3000D、 RGACE5000，適用于不同的網(wǎng)絡規(guī)模，用戶可靈活部署適合的網(wǎng)絡設備。 主要功能特性： 多核高性能 RGACE 采用多核硬件架構(gòu)，多核處理器具備高性能、易編程、靈活的 L4L7 層業(yè)務應用等特點。 RGACE 的處理能力非常高，利用支持 400 萬并發(fā)會話，最高可以實現(xiàn) 6Gbps 吞吐量。 RGACE 全面支持萬兆接口擴展；能和其它網(wǎng)絡設備直接以萬兆接口對接，組建全萬兆園區(qū)網(wǎng)。 硬件實現(xiàn)的 DPI引擎，實現(xiàn)了特征庫的應用協(xié)議數(shù)量和特征庫復雜程度與性能的無關(guān)性，可以做到同時加載所有應用協(xié)議而不 影響設備性能。 網(wǎng)絡實名制 湖南工業(yè)職業(yè)技術(shù)學院 網(wǎng)絡技術(shù)專業(yè)教學資源庫 22 實名接入： RGACE 實現(xiàn)流控與認證的融合，可以作為準出網(wǎng)關(guān)，實現(xiàn) Web Portal 認證。與計費系統(tǒng)對接， RGACE 可以實現(xiàn)流量計費、時長計費、以及按套餐區(qū)分服務質(zhì)量等精細化計費策略。 實名流控： RGACE 超越普通流控設備，與身份認證系統(tǒng)對接，能真正實現(xiàn)基于用戶身份的流控。無論關(guān)鍵用戶何時何地、有線無線接入網(wǎng)絡，均能實時下發(fā)流控策略。 實名日志： RGACE 與身份認證系統(tǒng)結(jié)合，能實現(xiàn)實名日志；既能方便定位到人，又具備不可否認性。 900+種應用協(xié)議準確識別 RGACE 采用 自主研發(fā)的新一代 DPI 引擎，能夠準確識別包括 P2P 應用、炒股軟件、流媒體、企業(yè)辦公、網(wǎng)絡游戲等在內(nèi)的總共 900 余種協(xié)議。 P2P 應用： Bittorrent 、 eMule 、 KAZAA 、 KURO 、 NAPSTER 、 EDONKEY、AUDIOGALAXY、 EZPEER、 KUGOO、 GNUTELLA、 VAGAA、 SOULSEEK、 POCO、 PIGO等 30 多種 P2P 軟件。 IM 應用： MSN、 Yahoo、 ICQ、 AOL、 、 YAHOO、 WEBIM、 IRC、 XMPP 等 10 多種主流的 IM 軟件。 視頻 /Streaming 應用 ：新浪直播、搜狐直播、 RTSP、 SIP、 PPSTREAM、 PPLIVE、APPLEQTC、 CCIPTV、 QUICKTIME、 REALPLAYER、 MMS、 live、 等主流的視頻和流媒體應用。 炒股軟件：大智慧證劵信息平臺、天一證劵網(wǎng)上交易系統(tǒng)、華泰網(wǎng)上交易分析系統(tǒng)、證券之星等炒股軟件 。流量控制如圖 15 所示。 圖 15 流量管理效果 3． 業(yè)界領(lǐng)先的控制引擎 帶寬嵌套功能，提供自定義 Pipe 通道、自定義 VC 通道、最大帶寬限制、 Share Rate Pool帶寬控制、權(quán)重設置以及應用優(yōu)先級等一系列 的應用優(yōu)化和帶寬管理控制功能。將網(wǎng)絡帶寬的管理從被動的、消極的、無效的傳統(tǒng)模式提升到主動的、有效的、智能化的帶寬管理服務。 帶寬租借功能，允許給高優(yōu)先級用戶預留的帶寬，在用戶下線時分配給其它用戶使用；已經(jīng)給高優(yōu)先級應用預留的帶寬，在流量較低時允許分配其它應用，以此提高帶寬利用率。 PerIP 限速，不僅支持網(wǎng)段的帶寬控制，同時支持對網(wǎng)段內(nèi)每個用戶配置精細化管理策略。 湖南工業(yè)職業(yè)技術(shù)學院 網(wǎng)絡技術(shù)專業(yè)教學資源庫 23 非對稱流量識別，橋接模式下，支持對不同橋接線路的虛擬化，實現(xiàn)非對稱環(huán)境下的應用識別和流量控制。 網(wǎng)絡流量實時監(jiān)控、分析和控制 網(wǎng)絡流量的實時采集 、監(jiān)控和精細分析使得網(wǎng)絡運行狀況、應用情況、帶寬使用情況等狀況完全可視化。 基于協(xié)議和基于 IP（ IPv IPv6）地址（用戶）兩種類型的實時流量分析器，提供基于源 /目的 IP 地址、服務端口、應用協(xié)議、 Session 數(shù)以及流量大小等詳細信息。 支持基于用戶時間、協(xié)議和應用等為參數(shù)進行靈活的阻斷與允許功能。包括：進行上行與下行帶寬控制、進行 Session 數(shù)量控制等。 支持組對象的配置，如定義用戶組（ IP 組）、協(xié)議組（如 P2P 協(xié)議組、游戲組）對同一類型的應用、相同級別的用戶進行帶寬管理策略的控制。 4． 關(guān) 鍵應用，持續(xù)保障 通過對關(guān)鍵用戶 /關(guān)鍵應用的識別，將其置于獨立的 VIP 通道，有效保障關(guān)鍵用戶 /關(guān)鍵應用的帶寬不受其他應用的影響。 出口控制如圖 16 所示。 圖 16 出口控制效果 5． 強大的日志記錄、完善的安全審計 支持上網(wǎng)五元組、 HTTP 訪問的詳細 URL 日志記錄功能。 支持與銳捷網(wǎng)絡 SAM 安全運營管理系統(tǒng)的聯(lián)動處理，直接進行基于用戶身份的行為審計。 提供豐富的圖表報告分析和統(tǒng)計 提供一年內(nèi)的應用或協(xié)議流量紀錄，并可生成天、周、月、季度、年時間段內(nèi)的應用及協(xié)議的帶寬使用統(tǒng)計報告。包括：總帶寬分析報表、應用帶 寬分析報表、基于協(xié)議的帶寬分析報表、基于協(xié)議和流量方向（進入 /出去）的帶寬分析報表、基于應用和流量方向（進入 /出去）的帶寬分析報表、基于 IP 地址的帶寬分析報表、用戶自定義報表等等。 高安全、高可靠性 應用層防火墻能夠識別并阻斷黑客的端口掃描以及 DoS 攻擊行為，支持通過 Session 數(shù)湖南工業(yè)職業(yè)技術(shù)學院 網(wǎng)絡技術(shù)專業(yè)教學資源庫 24 控制、帶寬控制來提高網(wǎng)絡可用性和安全性。 硬件 BYPASS 告別“串接設備單點故障”。采用外置光旁路單元和內(nèi)置電口旁路模塊，當 ACE 掉電或發(fā)生故障，毫秒級的切換保證網(wǎng)絡隨時暢通。 6． 安全風險控制，保障出口的高速、高效 校園安全防 護是新校園建設的重點，本次設計銳捷網(wǎng)絡 RGWALL 1600 下一代防火墻 ,部署與核心交換機之上，實現(xiàn)出口安全防護?；凇叭吮揪W(wǎng)絡”，實現(xiàn)“智能感知”。實現(xiàn)基于用戶、資源、應用的訪問控制。 RGWALL 系列下一代防火墻采用最新的安全處理算法，以高性能提供防病毒、 IPS、行為監(jiān)管、反垃圾郵件、深度狀態(tài)檢測、外部攻擊防范、應用層過濾等功能，有效保證網(wǎng)絡安全。 提供多種智能分析和管理手段，支持郵件告警，進行網(wǎng)絡管理監(jiān)控，協(xié)助網(wǎng)絡管理員完成網(wǎng)絡安全管理；全面的 VPN 業(yè)務，可以構(gòu)建多種形式的 VPN；雙機狀態(tài)熱備，支持 主主和主備兩種工作模式以及豐富的 QoS 特性，充分滿足客戶對網(wǎng)絡高可靠性的要求。 即刻選擇銳捷網(wǎng)絡 RGWALL 下一代防火墻，讓您的網(wǎng)絡更加安全、高效、穩(wěn)定、可靠，如圖 17 所示。 圖 17 RGWALL 防火墻 采用先進的硬件平臺及設計架構(gòu) 全線產(chǎn)品使用多核平臺，萬兆級高速安全處理。統(tǒng)一化的特征庫和一體化分析處理引擎設計，極大的提高了多功能模塊同時運行時的運行效率。 多業(yè)務高性能 采用銳捷網(wǎng)絡安全研究組 RGSlab 最新發(fā)布的 HiSpeed 算法，突破安全產(chǎn)品硬件瓶頸。實現(xiàn)防火墻、 VPN、 UTM 多業(yè)務高性能。 支持 IPS、流控、 Web 過濾的高性能處理。 下一代防火墻特性 面向法規(guī)和人本，實現(xiàn)基于用戶、資源、應用的訪問控制。可以與身份認證系統(tǒng)對接，實現(xiàn)一體化策略配置，可視化安全管理更加快捷高效。 支持全面的網(wǎng)絡攻擊防護 支持 DoS/DDoS 攻擊防護，支持 MAC 和 IP 綁定功能，支持智能防范 ARP 攻擊防護、TCP 報文標志位不合法攻擊防范、超大 ICMP 報文攻擊防范等等網(wǎng)絡攻擊防護。 完善的日志管理與審計 提供各種日志功能、流量統(tǒng)計和分析功能、各種事件監(jiān)控和統(tǒng)計功能、郵件告警功能，配合日志管理系統(tǒng)可以完成日志的記錄、查詢和 分析。 獨立的 VPN 模塊 湖南工業(yè)職業(yè)技術(shù)學院 網(wǎng)絡技術(shù)專業(yè)教學資源庫 25 內(nèi)置專用的硬件 VPN 模塊，支持 GRE、 L2TP、 IPSec、 SSL VPN 等多種 VPN 業(yè)務模式。支持多種平臺移動終端 VPN 接入。 高可靠性保障 支持雙機狀態(tài)熱備功能，支持 Active/Active 和 Active/Passive 兩種工作模式，實現(xiàn)負載分擔和業(yè)務備份，支持自動同步特征庫和策略庫。支持雙配置文件，設備關(guān)鍵部件均采用冗余設計 同時配置一臺熱點緩存設備，部署核心交換機處。 互聯(lián)網(wǎng)發(fā)展日新月異，用戶使用網(wǎng)絡的習慣已經(jīng)發(fā)生了明顯的改變。根據(jù)最新的統(tǒng)計，互聯(lián)網(wǎng) 61%的流量為視頻流量 ， 24%的流量為文件下載。如何針對這兩種文件進行網(wǎng)絡優(yōu)化和用戶體驗提升，已經(jīng)成為所有網(wǎng)管員最為關(guān)注的問題。 銳捷網(wǎng)絡 RGPowerCache X 系列產(chǎn)品能夠針對流媒體、 HTTP 下載及 P2P 下載數(shù)據(jù)進行優(yōu)化。它能夠自動判斷本網(wǎng)絡中的熱點資源，實現(xiàn)熱